Da helfen keine schnellen „Alles halb so wild“-Kommentare, da hilft kein Weglächeln des ziemlich gigantischen Problems: Die Alternative für Deutschland steht vor tausenden möglichen Veröffentlichungen, die kein gutes Licht auf die Fraktion werfen könnten – immerhin haben Cyber-Kriminelle nicht nur 421.000 E-Mails aktueller oder früherer Spitzenfunktionäre der Partei abgesaugt, sondern auch noch Zehntausende PDFs, Word-Dateien, Datenbankabzüge, Mitgliederlisten, Finanzunterlagen und Ausweisdokumente. Material aus Nordrhein-Westfalen und Mecklenburg-Vorpommern dominiert; die Zeitspanne reicht von 2014 bis in den September 2026.

IT-Expertin: „Eine neue Dimension“

Dass dies ein Cyber-Angriff in einer absolut gewaltigen Dimension ist, bestätigt die Berliner IT-Sicherheitsexpertin Lilith Wittmann: „Also basierend darauf, was ich bisher aus dem AfD-Leak gesehen habe, würde ich es für echt halten. Selbst wie der Zugang zu den Daten erlangt wurde, ist nachvollziehbar.“⁠ Und was zunächst wie eine anonyme Veröffentlichung von tausenden AfD-E-Mails wirkte, erhielt durch ihre Analyse und die anschließende Rekonstruktion des Angriffs eine neue Dimension. Gemeinsam mit Hoodinformatik sprach Wittmann mit den mutmaßlichen Hackern und Personen aus dem Umfeld der AfD-IT-Dienstleister. „So konnten wir erstmals rekonstruieren, wie der Angriff mutmaßlich abgelaufen ist“, sagt Wittmann.

Die IT-Sicherheitsexpertin, Hackerin und Journalistin schreibt dazu auf ihrer Website: „Nach übereinstimmenden Aussagen der Hacker sowie der Mitarbeiter aus dem Umfeld der für die AfD tätigen Dienstleistungsunternehmen begann alles an einer unzureichend geschützten WordPress-Instanz unter der URL wahlkampf.afd.de. Über diese installierten die Angreifer ein Softwarepaket (WP-Console), das ihnen den Zugriff auf die Kommandozeile des Servers ermöglichte. Anschließend verschafften sie sich Zugang zur Mailverwaltung und änderten die E-Mail-Passwörter von AfD-Funktionären. Die Daten leiteten sie über One-Click-Hoster und IMAP-Batch-Requests aus.“

Die AfD-Führung bestätigte bereits den Hacker-Angriff auf die Systeme der Alternita Dienstleistungs GmbH. Bemerkt wurde er laut Angaben aus dem Umfeld des Hostingdienstleisters bereits am 9. September. Laut AfD griffen die Hacker dabei primär auf ältere Postfächer zu. Allerdings: Ein veröffentlichter Datensatz enthielt E-Mails bis zum 14. September dieses Jahres.

Die Alternita Dienstleistungs-GmbH ist ein parteieigenes Unternehmen, das Dienstleistungen für verschiedene Landes- und Kommunalverbände innerhalb der Partei erbringt. Zu ihrem Angebot zählt neben dem Webhosting unter anderem auch die Buchhaltung, das KI-Tool Alternita Studio sowie die gemeinsame Beschaffung und interne Verteilung von Wahlkampfmaterialien.

Sie verwaltet für die Partei über 300 Domains sowie zahlreiche Webseiten. Für den technischen Betrieb greift sie wiederum auf externe IT-Dienstleister und Webhoster aus Deutschland und Österreich zurück.

AfD-Bundesgeschäftsführer Hans-Holger Malcomeß ist der offiziell vertretungsberechtigte Geschäftsführer der Alternita. Carsten Hütter verfügt über Prokura und damit über weitreichende geschäftliche Vertretungsbefugnisse: Er verlor beim AfD-Bundesparteitag 2026 seine Position als Bundesschatzmeister der AfD. Gesellschafterin der Alternita ist laut Unternehmensdaten die Tauroggen Holding GmbH., diese hält 100 Prozent der Geschäftsanteile an Alternita. Die AfD bezeichnete Alternita in ihrem finanziellen Rechenschaftsbericht für 2022 als hundertprozentige Tochtergesellschaft des Bundesverbandes, der 100-Prozent-Eigentümer der Tauroggen Holding ist die Alternative für Deutschland (AfD).

Zwei Angriffe auf die AfD

Nach Angaben der Hacker wurde der Angriff zwar am 9. September bemerkt und nach der Ausleitung von 180 Gigabyte Daten gestoppt, berichtet Lilith Wittmann. Allerdings sei dabei von ihnen Schadcode auf den Servern hinterlassen worden, der im Anschluss an den Angriff von Dienstleistern der AfD nicht entdeckt worden sei. Die Hacker leiteten daraufhin nach eigenen Angaben am 14. September nochmals Daten aus den Systemen von Alternita aus.

Insgesamt hätten sie so Zugriff auf 300 Postfächer mit einem Gesamtvolumen von 1,8 Terabyte gehabt. Sie begannen mit der Ausleitung der größten Postfächer und wurden auch beim zweiten Angriff gegen 6 Uhr morgens entdeckt, nachdem insgesamt 300 GB Daten ausgeleitet worden waren. Laut eigenen Angaben wurden zu diesem Zeitpunkt die Systeme hinter zahlreichen Subdomains abgeschaltet. Beim zweiten Angriff wurden nach Angaben der Angreifer dieselben Postfächer wie beim ersten Angriff nochmals ausgeleitet, sodass nur 120 Gigabyte zusätzliche Daten abgeflossen seien.

Wer sind die Hacker?

Die Täter selbst betonten gegenüber Lilith Wittmann mehrfach, sie seien nicht staatlich finanziert, sie würden keiner bekannten Gruppe angehören und hätten außer Spenden auf ihrer Website kein Geld für die Angriffe erhalten. „Es gehe ihnen lediglich darum, die AfD an denselben Maßstäben zu messen, die sie auch an andere anlege“, kommentiert dazu die IT-Expertin. Die Hacker bedauern die Veröffentlichung von Daten unbeteiligter Dritter, das sei nicht ihr Ziel gewesen. Allerdings sahen sie eine Verantwortung beim deutschen Staat, der seinen Aufgaben in Bezug auf die AfD nicht nachgekommen sei.

Andere IT-Experten wie Mirko Ross, ein ehemaliger Hacker, heute Geschäftsführer des Stuttgarter Unternehmens Asvin und Berater für öffentliche Stellen, teilen die Einschätzung Wittmanns, dass es sich nicht nur um altes Material handeln würde und der Schaden für die Partei erheblich ist: „Da sind auch E-Mails aus 2026 dabei. So veraltet, wie die AfD die gehackten Daten darstellt, sind sie nicht.“ Er habe bereits Teile des Materials analysiert – es gehe weit über das hinaus, was die AfD öffentlich als betroffen beschrieben habe.